2026年10月21日晚上10點，開源伺服器端腳本語言PHP的安全團隊發布了一項緊急安全更新，針對兩個標記為CVE-2026-109618和CVE-2026-109619的重大漏洞進行修補。據資安署評估，這兩項漏洞的嚴重度均達到9.2分，可能允許攻擊者在未經身份認證的情況下從外部執行任意程式碼，這對使用該語言的組織構成了相當大的安全風險。
攻擊風險與漏洞詳情
根據資安署的說法，這些潛在的漏洞使得駭客能夠在不需任何身份驗證的情況下，直接執行未經授權的代碼，這意味著不論是政府機關、學校還是企業，若未迅速更新系統，都可能成為駭客攻擊的目標。PHP被廣泛用於許多知名的內容管理系統，包括WordPress、Drupal及Magento等，這也擴大了其影響範圍。
企業應如何應對？
資安署在事件發生後，立即透過各種管道，包括資安警訊和國家資安資訊分享與分析中心(N-ISAC)，通知了各機關及企業儘速確認其使用的PHP版本並進行更新。這項緊急更新的發布，不僅顯示了資安漏洞快速變化的特性，也提醒企業不能對系統安全掉以輕心。
在接到更新通知後，所有使用PHP技術的單位應立即進行版本檢查，依據官方指示進行必要的修補，包括檢視系統日誌和異常存取紀錄。如發現可疑活動，則需進一步確認相關帳號及系統的安全性。
PHP與資安問題的關聯
強調資安的重要性，資安署再度提醒，隨著科技日新月異，相關的安全挑戰也層出不窮。根據最新的數據顯示，台灣每天遭受的資安攻擊高達260萬次，這讓相關的防護措施顯得尤為迫切。
此外，PHP的流行程度不容小覷，根據W3Techs研究，超過78% 的網站使用PHP作為其後端技術，此數據進一步突顯了系統漏洞對全台灣網站安全帶來的潛在影響。
企業轉型與資安防護的雙重軌道
面對這樣的資安危機，企業除了要加強內部的安全防護外，還應轉型思維，將資安問題視為商業策略上的一環。隨著業務數位轉型的加速，企業應考量如何設計更具防禦性及彈性的系統。
在這個充滿挑戰的環境中，資安不僅是IT部門的責任，整個組織需要共同參與，進行定期的資安檢測與教育訓練，以提升所有員工的資安意識。
結論：不容忽視的風險
PHP的最新安全更新和隨之而來的警報，提醒各界對資安問題的重視。同時也促使企業須具前瞻性的思考，因應不斷變化的資安威脅。在一個數位化程度越來越高的時代，及時的更新與有效的風險管理，將是企業持續經營的關鍵。
